Tin nhắn đang nằm ngay đó trên màn hình. Sáu chữ số, gửi cách đây mấy giây. Nhưng ô nhập trên trang web vẫn trống trơn, không có gợi ý nào hiện lên phía trên bàn phím, và cái mã lẽ ra tiết kiệm cho bạn vài giây giờ phải đọc, phải nhớ rồi gõ lại — đúng vào lúc người ta hay gõ lộn hai chữ số và kết luận rằng có gì đó đang hỏng.
TL;DR: Nếu bạn nhìn thấy được mã thì tin nhắn đã được gửi tới, và thứ hỏng là khâu nhập chứ không phải khâu gửi. Tự động điền là một tiện ích mà điện thoại hoặc trình duyệt phủ lên trên một tin nhắn vốn đã tới nơi, và nó chỉ xuất hiện khi vài thứ riêng biệt cùng khớp nhau. Trên Android, Chrome xin quyền vào lần đầu tiên nó nhận ra một ô nhập mã dùng một lần, rồi chỉ điền khi bạn chạm vào lời nhắc. Việc thiếu một gợi ý không phải là phán quyết về tính xác thực của một trang web. Hãy kiểm tra dịch vụ, tài khoản và thử thách hiện tại trước khi nhập mã, và đừng bỏ qua sự không khớp giữa tên miền được nêu trong tin nhắn và trang bạn đang dùng.
Tự động điền là tiện ích, không phải đường gửi tin
Sẽ hữu ích nếu nói rõ phần nào trong chuỗi này thật sự đã hỏng.
Một mã xác minh tới tay bạn qua một tin nhắn. Việc tin nhắn ấy có tới hay không phụ thuộc vào số nó được gửi tới và thuê bao sở hữu số đó — một chủ đề khác với những nguyên nhân riêng của nó, và là chuyện đáng quan tâm nếu chẳng hạn bạn đang chờ mã trên một gói du lịch chỉ có dữ liệu.
Tự động điền nằm bên trên chuyện đó. Khi một tin nhắn đã đáp xuống nơi hệ điều hành đọc được, hệ thống có thể đề nghị đặt mã vào một ô nhập giúp bạn. Nếu lời đề nghị đó không xuất hiện, bản thân tin nhắn chẳng thay đổi gì — dù điều đó không đồng nghĩa với việc mã vẫn còn dùng được. Một tin nhắn nhìn thấy được có thể là tin cũ, tin đã bị thay thế, hoặc câu trả lời cho một thử thách khác. Và ở nơi một mã bị ràng buộc với một tên miền, việc thiếu gợi ý có thể phản ánh rằng trang đó không khớp với tên miền mà mã nêu ra, và đó là thứ đáng kiểm tra chứ không phải thứ để bỏ qua.
Vậy nên việc đầu tiên cần chốt lại đơn giản là bạn có nhìn thấy mã hay không. Nếu có, thì một tin nhắn đã được gửi tới, và toàn bộ phần dưới đây nói về mấy centimet cuối cùng giữa tin nhắn và cái ô — sau khi bạn đã kiểm tra rằng mã trước mặt bạn thuộc về đúng dịch vụ, đúng tài khoản và đúng thử thách mà bạn đang thực hiện.
Những gì phải khớp nhau trước khi một mã được gợi ý
Vài điều kiện độc lập phải cùng đúng một lúc, và đó là lý do tính năng này mong manh hơn vẻ ngoài của nó.
Hệ thống phải nhận ra ô nhập là ô mã dùng một lần. Một cái ô trông hiển nhiên với bạn chưa chắc đã được nhận diện như vậy. Cách một trang web báo hiệu điều đó là phần triển khai của chính dịch vụ, và không phải thứ bạn cung cấp hay thay đổi được từ phía mình.
Phải có quyền. Trên Android, Google ghi rằng Chrome xin quyền vào lần đầu tiên nó nhận diện được một ô nhập mã xác minh SMS dùng một lần. Trang của Google cũng nói tới trường hợp quyền đó từng bị từ chối trước đây, và đó là thứ đáng kiểm tra trước khi kết luận rằng tính năng này không có sẵn.
Bạn phải thao tác. Việc điền không diễn ra âm thầm. Hành vi mà Chrome ghi trong tài liệu là một lời nhắc hiện ra và mã được đưa vào khi bạn chạm vào đó. Trên iPhone, hướng dẫn của Apple về tự động điền mật mã SMS mô tả một mã được phát hiện sẽ được gợi ý phía trên bàn phím để bạn chạm vào. Trong cả hai trường hợp, mã được gợi ý chứ không được chèn thay bạn.
Tin nhắn phải nằm ở nơi tính năng đang tìm. Điều kiện này có mục riêng ở phía dưới.
Với các mã ràng buộc tên miền, tên miền được nêu trong tin nhắn phải khớp. Apple có tài liệu về AutoFill cho các mã SMS ràng buộc tên miền, trong đó một mã mang theo tên miền mà nó thuộc về và AutoFill đối chiếu tên miền ấy với tên miền hiện tại của Safari hoặc tên miền liên kết của một ứng dụng. Apple trình bày đây như một lớp bảo vệ trước hành vi lừa đảo. Ở nơi chúng không tương ứng với nhau, không có gợi ý nào được đưa ra.
Android cũng có các thiết lập cho việc này. Trang của Google mô tả những tuỳ chọn tự động điền mã xác minh bao trùm cả mã trong ứng dụng và trang web lẫn mã trong trình duyệt mặc định của bạn, và đó là thứ đáng biết trước khi kết luận rằng một chiếc điện thoại đơn giản là không làm được.
Mã đang ở đâu, và tự động điền đang tìm ở đâu
Sự phân biệt này không phải chuyện thiết lập, và chính vì thế nó đáng được kiểm tra sớm.
Các tính năng SMS mô tả ở đây đọc những tin nhắn đã tới trong hệ thống tin nhắn của chính điện thoại. Nếu một mã tới tay bạn ở chỗ khác, những tính năng cụ thể ấy không có gì để xử lý. Đây là phát biểu về phần tự động điền SMS nói ở trên chứ không phải khẳng định về mọi tích hợp: chẳng hạn Apple có tài liệu về AutoFill mã xác minh từ Mail trong Safari, nên các kênh khác không bị loại trừ hoàn toàn và khả năng thì khác nhau giữa các trình duyệt, trình quản lý mật khẩu và thiết bị.
Trường hợp rõ nhất là một số xác minh đi thuê. Khi bạn đặt một số từ chúng tôi, các tin nhắn của đơn hàng đó xuất hiện trong hộp thư riêng của đơn hàng trong tài khoản bạn, trên bất kỳ màn hình nào bạn đang mở. Đó là một trang web hiển thị nội dung một tin nhắn mà một số bạn đã thuê nhận được, chứ không phải một tin nhắn trong ứng dụng nhắn tin của chính máy bạn. Phần tự động điền SMS mô tả ở đây đọc tin nhắn của điện thoại, nên nó không có gì để xử lý ở đấy, và việc chuyển mã sang là một thao tác sao chép bạn tự làm. Đó là phát biểu về tính năng này chứ không phải về mọi tích hợp mà một trình duyệt hay trình quản lý mật khẩu có thể có.
Điều tương tự cũng đúng khi một mã tới trong ứng dụng riêng của một dịch vụ hoặc một nền tảng trò chuyện thay vì dưới dạng SMS. Tính năng đang tìm ở một chỗ cụ thể, và nếu mã không nằm ở đó thì sự im lặng của nó chẳng nói lên điều gì về bản thân cái mã. Email không phải một ví dụ sạch sẽ cho chuyện này, vì Apple có tài liệu về AutoFill mã từ Mail trong Safari; còn một kênh không liên quan hỗ trợ được gì thì phụ thuộc vào tổ hợp ứng dụng, trình duyệt và hệ thống đó.
Triệu chứng chỉ vào đâu
| Thứ bạn nhìn thấy | Nó tương thích với | Việc cần kiểm tra trước tiên |
|---|---|---|
| Mã nhìn thấy được trong tin nhắn của điện thoại, không có lời nhắc nào | Chưa cấp quyền hoặc quyền từng bị từ chối, hoặc ô nhập không được nhận diện | Tự động điền mã xác minh có đang bật cho ứng dụng và cho trình duyệt của bạn không |
| Lời nhắc hiện ra nhưng ô vẫn trống | Con trỏ đang nằm ở một ô khác, hoặc trang đã đổi ngay lúc bạn chạm | Chạm thẳng vào ô mã, rồi làm theo thứ mà luồng đưa ra tiếp theo |
| Mã nằm trong trang đơn hàng của một số đi thuê | Đúng như dự kiến — tin nhắn đó không tới ứng dụng nhắn tin của điện thoại | Tự sao chép nó từ trang đơn hàng |
| Một gợi ý hiện ra với mã cũ hơn | Có nhiều hơn một mã đang tồn tại và mã mới nhất có thể không phải mã được gợi ý | Đọc mã trong chính tin nhắn và đối chiếu trước khi chạm |
| Không có gợi ý ở một trang, nhưng có ở nơi khác | Có thể là mã ràng buộc tên miền mà không có trang khớp, hoặc một ô không được đánh dấu | Bạn có tự mình vào trang này hay vào qua một đường liên kết |
Dòng cuối là dòng cần thận trọng theo cả hai chiều. Việc thiếu gợi ý không xác lập rằng một trang là giả mạo, và việc có gợi ý cũng không xác lập rằng nó an toàn. Tự mình khởi động luồng là điều cần thiết nhưng cũng chưa giải quyết được chuyện đó. Ràng buộc tên miền là một lớp bảo vệ có thật, nên ở nơi một mã nêu ra một tên miền không khớp với trang bạn đang ở, chính sự không khớp ấy mới là thứ cần xem trọng chứ không phải thứ để đi vòng qua.
Hai tình huống đáng đi qua từng bước
Cả hai đều là giả định, được viết ra để cho thấy cách suy luận chứ không phải để tường thuật một vụ việc có thật.
Cái mã chưa bao giờ chạm tới điện thoại. Một người thuê một số để đăng ký với một dịch vụ, để trang đơn hàng mở sẵn trên laptop, và làm nốt phần đăng ký trên chính chiếc laptop đó. Mã tới và nhìn thấy được trong hộp thư của đơn hàng. Rồi họ mất một lúc đi tìm xem vì sao điện thoại của mình không đề nghị điền nó. Chiếc máy chưa từng nhận tin nhắn ấy: nó được gửi tới một số đi thuê và hiển thị trên một trang web. Phần tự động điền SMS mô tả ở đây không có gì để đọc, nên sao chép mã từ trang đơn hàng là câu trả lời thẳng thắn. Nếu mã hoàn toàn chưa xuất hiện ở đó, thì đó là câu hỏi về việc gửi tin chứ không phải về tự động điền, và một số tạm thời làm được gì và không làm được gì với mã thứ hai là phần đáng đọc.
Gợi ý vắng mặt bị đọc thành một lời cảnh báo. Một người mở một dịch vụ quen thuộc, yêu cầu mã, nhận được nó, và nhận ra rằng lần này gợi ý mà họ vẫn thấy phía trên bàn phím lại không xuất hiện. Ý nghĩ đầu tiên của họ là trang web có thể là giả. Suy luận đó không có cơ sở: một gợi ý có thể vắng mặt vì ô nhập không được đánh dấu là ô mã, vì quyền đã bị từ chối vào lúc nào đó, hoặc vì mã bị ràng buộc với một tên miền không tương ứng với trang họ đang ở — và không điều nào trong số đó phân biệt được một trang thật với một trang lừa đảo. Cách họ tới trang vẫn quan trọng: đi theo một liên kết từ tin nhắn hay từ email là lý do để dừng lại, rời trang và tới dịch vụ theo cách họ vẫn làm rồi mới bắt đầu lại. Nhưng gõ địa chỉ hay mở một dấu trang đã lưu thì tự nó cũng không phải bằng chứng rằng đích đến là thật, nên nó cũng không giải quyết được câu hỏi. Trước khi nhập mã, những thứ đáng xác nhận là mã nêu đúng dịch vụ và tài khoản họ trông đợi, rằng nó trả lời đúng thử thách đang ở trước mặt họ, và rằng trang họ đang ở là trang mà mã được cấp cho. Một tên miền không khớp không phải thứ để lách qua chỉ vì luồng do chính họ khởi động.
Gõ mã bằng tay mà không tạo ra vấn đề mới
Nhập mã thủ công là việc bình thường, và sự thận trọng gắn với nó thì hẹp và cụ thể.
Hãy gõ nó vào một luồng do bạn khởi động, sau khi đã kiểm tra rằng mã nêu đúng dịch vụ và tài khoản bạn trông đợi và trả lời đúng thử thách trên màn hình. Tự mình vào được trang là điều cần thiết nhưng chưa đủ. Đừng đọc mã cho ai nghe, đừng chuyển tiếp nó, đừng dán nó vào một cuộc trò chuyện, và đừng nhập nó trên một trang mà người khác hướng bạn tới — một điểm được nói kỹ hơn trong phải làm gì với một mã bạn không hề yêu cầu.
Hãy đọc mã từ chính tin nhắn thay vì từ bản xem trước trong thông báo nếu đã có nhiều hơn một mã tới, vì thông báo mới nhất không phải lúc nào cũng là mã mới nhất.
Nếu mã bị từ chối sau khi bạn đã gõ lại cẩn thận, hãy kiểm tra xem nó có đúng cho dịch vụ và tài khoản bạn đang đăng nhập không, nó có trả lời thử thách hiện đang ở trên màn hình không, và nó đã quá thời hạn mà dịch vụ nêu ra hay chưa. Hãy làm theo hướng dẫn mà chính luồng đó hiển thị; việc yêu cầu một mã khác chỉ có khi luồng ấy đưa ra lựa chọn đó. Nếu số điện thoại có thể đã bị nhập sai ở một thời điểm nào đó trước đấy, thì kiểm tra định dạng số và cách nó được nhập là chỗ cần xem.
Một việc không nên làm: đừng cấp quyền truy cập rộng vào tin nhắn của bạn cho một ứng dụng không liên quan với hy vọng làm cho tự động điền chạy được. Tính năng này không cần tới điều đó, và đó là một cuộc đánh đổi tồi.
Giới hạn của hướng dẫn này
Phần trên mô tả những điều kiện để một điện thoại hoặc trình duyệt gợi ý một mã, dựa trên tài liệu của Google cho Chrome trên Android và tài liệu của Apple cho iPhone. Nó không bao quát mọi thiết bị, mọi launcher hay mọi bàn phím, và các màn hình cài đặt khác nhau giữa các hãng ngay cả khi hành vi bên dưới là giống nhau.
Việc ô nhập của một trang web cụ thể có được nhận diện hay không là phần triển khai của chính dịch vụ. Người đọc có thể quan sát được nó nhưng không thay đổi được, và các thiết lập trên máy bạn không thay thế được nó.
Hướng dẫn này giới hạn trong những tính năng tự động điền SMS được nêu tên ở đây. Có tồn tại những tích hợp khác — Apple có tài liệu về AutoFill mã từ Mail trong Safari — và việc một tổ hợp trình duyệt, trình quản lý mật khẩu hay thiết bị bất kỳ hỗ trợ được gì thì nằm ngoài phạm vi mô tả ở đây.
Bản thân hành vi tự động điền không phải một cách đáng tin để phân biệt một trang thật với một trang lừa đảo, và hướng dẫn này không đưa nó ra như vậy. Ràng buộc tên miền là một lớp bảo vệ có thật, nên một sự không khớp đáng được để tâm chứ không đáng đi vòng qua; thứ nó không cung cấp là một phán quyết mà bạn đọc ra được từ một lời nhắc vắng mặt.
Phần giải đáp của chúng tôi nói về khâu đặt đơn, còn phiếu hỗ trợ là đường dành cho bất cứ điều gì liên quan riêng tới một đơn hàng bạn đã đặt với chúng tôi.
FAQ
Mã nằm trong tin nhắn của tôi mà chẳng có gợi ý nào. Mã hỏng à?
Việc không có lời nhắc không nói lên điều gì dứt khoát về cái mã. Một tin nhắn nhìn thấy được thì đã được gửi tới, và việc lớp tiện ích hỏng không thay đổi điều đó. Nó cũng không xác lập rằng mã vẫn còn hiệu lực — đó có thể là một mã trước đó, hoặc câu trả lời cho một thử thách khác. Hãy kiểm tra xem nó thuộc về dịch vụ, tài khoản và thử thách nào, rồi gõ nó vào.
Vì sao tự động điền chạy ở trang này mà không chạy ở trang khác?
Vì một phần yêu cầu thuộc về trang web chứ không thuộc về điện thoại của bạn. Ô nhập phải được nhận diện là ô mã dùng một lần, và một mã ràng buộc tên miền thì được đối chiếu với tên miền nêu trong tin nhắn. Cả hai đều phụ thuộc vào phần triển khai của chính dịch vụ, và đó là lý do cùng một chiếc điện thoại lại hành xử khác nhau ở những nơi khác nhau.
Thiếu gợi ý có nghĩa là trang đó giả không?
Tự nó thì không, và chiều ngược lại cũng không an toàn: một gợi ý xuất hiện không phải là bảo đảm. Một lời nhắc có thể vắng mặt vì quyền đã bị từ chối, vì ô nhập không được nhận diện, hoặc vì mã bị ràng buộc với một tên miền không khớp với trang. Apple trình bày việc đối chiếu tên miền như một lớp bảo vệ trước hành vi lừa đảo, nên một sự không khớp đáng được xem trọng chứ không đáng đi vòng qua. Hãy coi sự vắng mặt ấy là lý do để kiểm tra xem mã dành cho dịch vụ và tài khoản nào, và trang có khớp không, chứ không phải một phán quyết theo chiều nào cả.
Vì sao điện thoại tôi chẳng bao giờ gợi ý những mã tới trên một số đi thuê?
Vì tin nhắn đó không tới ứng dụng nhắn tin của máy bạn. Một mã gửi tới số đi thuê thì được chính số đó nhận và được hiển thị trong hộp thư của đơn hàng trong tài khoản bạn, tức là một trang web. Tính năng tự động điền SMS mô tả ở đây đọc tin nhắn của chính điện thoại, nên nó không có gì để gợi ý từ trang đó, và việc chuyển mã sang là một thao tác riêng do bạn tự làm.
Gõ mã xác minh bằng tay có an toàn không?
Có, trong một luồng do bạn khởi động, sau khi đã kiểm tra rằng mã nêu đúng dịch vụ và tài khoản bạn trông đợi và trả lời đúng thử thách đang ở trước mặt bạn. Tự mình khởi động luồng là điều cần thiết nhưng tự nó chưa xác lập rằng đích đến là thật. Đừng bao giờ chuyển mã cho một người liên hệ với bạn về nó, dù lý do nghe có hợp lý tới đâu.
Tôi có nên cấp cho một ứng dụng quyền đọc mọi tin nhắn để tự động điền chạy được không?
Không. Việc gợi ý mã không đòi hỏi bạn trao quyền truy cập rộng vào tin nhắn cho một ứng dụng không liên quan, và làm vậy phơi bày nhiều thứ hơn hẳn so với một cái mã bạn đang muốn nhập. Nếu tính năng có sẵn không gợi ý mã, thì nhập tay là lựa chọn đánh đổi tốt hơn.